Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-400
  • CWE-1333

CVE-2026-114603

OpenTelemetry Python opentelemetry-api, tracestate ayrıştırmasında sınırsız işlem nedeniyle hizmet aksaması

open-telemetry opentelemetry-python

Orta 5,3 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2026
Açık yaşı
6 gün
Kaydı açan
GitHub_M

ÖzetTürkçe

OpenTelemetry Python için Python API ve SDK sağlayan OpenTelemetry Python, 1.45.1 sürümünden önce opentelemetry-api içindeki opentelemetry/trace/span.py dosyasındaki TraceState.from_header fonksiyonunda bir zafiyet içermektedir. Bu fonksiyon, TraceContextTextMapPropagator.extract üzerinden çağrılır ve gelen W3C tracestate başlıklarını sınırsız bir isteğe bağlı boşluk karakteri düzenli ifadesiyle ayrıştırır. Virgül içermeyen, uzun bir boşluk veya sekme dizisi barındıran hatalı bir başlık, üye sayısı sınırı uygulanmadan önce karesel geri izleme (quadratic backtracking) yapılmasına neden olur. Varsayılan W3C Trace Context yayıcısını kullanan servisler, HTTP sunucusu, ayrıştırıcı, ağ geçidi veya özel taşıyıcı yeterince büyük bir başlığı kabul ettiğinde, kimlik doğrulaması gerektirmeyen tek bir istek nedeniyle aşırı CPU süresi harcayabilir. Bu işlem eşzamanlı bir çalışan iş parçacığını meşgul edebilir veya aynı asenkron olay döngüsündeki ilgisiz istekleri geciktirebilir. Etkisi yalnızca erişilebilirlikle sınırlıdır; telemetri verilerini açığa çıkarmaz veya değiştirmez ve kod çalıştırmaya izin vermez. Bu sorun 1.45.1 sürümünde giderilmiştir.

Kaynaktaki açıklama (İngilizce)

OpenTelemetry Python provides the Python API and SDK for OpenTelemetry. Prior to 1.45.1, the opentelemetry-api function TraceState.from_header in opentelemetry/trace/span.py, reached through TraceContextTextMapPropagator.extract, parses inbound W3C tracestate headers with an unbounded optional-whitespace regular expression. A malformed header containing a long run of spaces or tabs without a following comma causes quadratic backtracking before the member-count limit is applied. Services using the default W3C Trace Context propagator can therefore spend excessive CPU time on one unauthenticated request when the HTTP server, parser, gateway, or custom carrier accepts a sufficiently large header. The processing can occupy a synchronous worker or delay unrelated requests on the same asynchronous event loop. The impact is limited to availability and does not expose or modify telemetry data or allow code execution. This issue is fixed in version 1.45.1.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
open-telemetry opentelemetry-python < 1.45.1 1.45.1

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.